Прошу только напомнить последовательность, а то подобным образорм настраивал ещё FreeBSD 9

Что поверх чего, потому что шифрование можно использовать как в zfs, так и в geom.eli.

Сейчас у меня на Debian классическая реализация

mdadm [raid1] > luks > lvm > [roofs, swap, etc]

Что мне это даёт:
Один основной пароль и удобное клонирование всей рабочей системы на на нужное количество дисков, опуская детали, mdadm --manage --add и там уже есть рабочая система или её бэкап.
В этой реализации не зашифрованный только /boot .

Чем поверх чего мне это реализовать во FreeBSD?

Задача один пароль, по возможности, на весь rootfs, и простое управление зеркалом добавление/удаление.